CVE-2026-84394 in fast-uri
الملخص
بحسب VulDB • 03/09/2026
يقبل fast-uri مضيفًا يحتوي على قوس سلطة غير متوازن أو موضوع في مكان خاطئ دون الإبلاغ عن خطأ. المضيف الذي يبدأ بقوس فتح ولا ينتهي بقوس إغلاق لا يتم التحقق من صحته كـ IP حرفي (IP literal) ولا يُعاد توحيد صياغته كاسم نطاق، لذا فإن دالة parse() تعيده كمضيف مع وجود الخطأ غير معرف (undefined)، بينما تقوم URL الخاصة بـ Node والعملاء HTTP المبنية عليها بحل نفس السلسلة إلى مضيف مختلف. التطبيق الذي يقرأ المضيف المُحلّل لاتخاذ قرار متعلق بالمضيف، مثل قائمة حظر SSRF أو قائمة السماح لإعادة التوجيه أو توجيه الوكيل (proxy routing)، ثم يمرر عنوان URL الأصلي إلى عميل HTTP يقوم بتقييم سياسته ضد سلسلة لا تمثل المضيف الذي يصل إليه الطلب. يتم نقل نفس المضيف عبر دوال normalize و equal و resolve. يؤثر هذا على إصدارات fast-uri 2.4.5، و3.1.6، و4.1.3، وقد تم إصلاحه في الإصدارات 2.4.6، و3.1.7، و4.1.4، حيث تبلغ دالة parse() عن مضيف مشوّه لأي مضيف يحتوي على قوس وليس حرف IPv6 صالحًا.
If you want to get best quality of vulnerability data, you may have to visit VulDB.